FINRA refuerza la gobernanza de GenAI

Actualización 20 de septiembre de 2026: FINRA incorporó la inteligencia artificial generativa en su 2026 Regulatory Oversight Report y amplió el detalle sobre los riesgos operativos, de cumplimiento y de registro que ve en las firmas miembro. El regulador también reforzó sus expectativas sobre gobernanza, pruebas, revisión humana y monitoreo continuo de las herramientas de IA.

FINRA publicó su 2026 Regulatory Oversight Report e incluyó la inteligencia artificial generativa, GenAI, entre los temas cubiertos para las firmas miembro del sector financiero. El regulador advirtió sobre riesgos de autonomía de agentes de IA, actuación fuera del alcance previsto, dificultades de auditabilidad y transparencia en tareas de varios pasos, además de posibles fallas en el manejo de datos sensibles.

Gobernanza y control de modelos

El informe aconseja que las firmas de inversión establezcan un marco de supervisión, gobernanza o gestión de riesgo de modelos específico para GenAI. Ese esquema debería incluir políticas y procedimientos claros para desarrollar, implementar, usar y monitorear estas herramientas, además de una documentación integral del ciclo de vida del modelo.

FINRA también remarcó la necesidad de probar de forma robusta las soluciones de GenAI antes de desplegarlas en entornos financieros regulados. Esa validación debe abarcar privacidad, integridad, confiabilidad y exactitud. A eso se suma un monitoreo continuo de prompts, respuestas y outputs para verificar que el comportamiento se mantenga alineado con la normativa.

En materiales explicativos vinculados al reporte, liderazgo de FINRA subrayó que GenAI puede generar riesgos operativos y de cumplimiento significativos. También destacó como prácticas efectivas los marcos robustos de gobernanza, el monitoreo continuo, la gestión proactiva de riesgos y la supervisión y pruebas sistemáticas de las herramientas de IA.

La propia FINRA explicó en su página temática sobre inteligencia artificial, actualizada en 2026, que la sección GenAI del Annual Regulatory Oversight Report está pensada para informar los programas de cumplimiento de las firmas miembro, con orientación anual sobre obligaciones regulatorias aplicables, tendencias emergentes y prácticas actuales.

Qué más vieron consultoras y estudios jurídicos

Distintos análisis publicados sobre el reporte coincidieron en que la señal de FINRA es más exigente que en años previos. Financial Commission destacó la necesidad de pruebas regulares y monitoreo continuo de las herramientas GenAI, incluyendo la revisión de prompts, outputs y métricas de desempeño, como parte de los programas de cumplimiento y supervisión.

Compliance Week calificó la sección GenAI del reporte como un "wake-up call" para profesionales de cumplimiento y sostuvo que las firmas ya son esperadas a implementar procesos formales de revisión y aprobación antes de desplegar GenAI. También remarcó pruebas previas de privacidad, integridad, fiabilidad y exactitud, más monitoreo continuo después del despliegue.

DLA Piper señaló que FINRA espera al menos cierto nivel de supervisión humana y controles de calidad modificados para demostrar que los Written Supervisory Procedures, WSPs, de una firma están razonablemente diseñados cuando se utiliza GenAI. El análisis insistió en que las pruebas robustas deben abarcar privacidad, integridad, fiabilidad y exactitud.

Troutman Pepper resumió que el mensaje central de FINRA sigue siendo la neutralidad tecnológica de sus reglas, pero con una exigencia mayor de supervisión de GenAI a nivel empresarial. Entre los puntos que destacó figuran la revisión de nuevos casos de uso, la gestión de riesgo de modelos adaptada a GenAI, pruebas de exactitud, fiabilidad, privacidad y sesgos, registro de prompts y outputs, y revisión humana en el circuito.

Sidley agregó que FINRA espera que las firmas evalúen sus obligaciones regulatorias antes de desplegar GenAI y establezcan marcos de gobernanza para supervisar su uso. Ese análisis incorporó además alucinaciones, sesgos, riesgos de ciberseguridad y uso de IA por actores maliciosos, junto con la posibilidad de que agentes autónomos requieran esquemas novedosos de supervisión.

McGuireWoods sostuvo que el reporte aconseja identificar y mitigar riesgos como alucinaciones y sesgos, y que FINRA sugiere controles y programas de supervisión específicamente adaptados al uso de GenAI. Eso incluye pruebas robustas para agentes de IA, monitoreo continuo mediante registros de salida y seguimiento de modelos, y garantías de que la gobernanza abarque casos de uso, riesgos de modelo, comunicaciones con clientes, diligencia de proveedores, captura de comunicaciones habilitadas por IA en libros y registros y gestión de cambios tecnológicos.

Sia Partners tradujo esas expectativas en tres ejes, supervisión, pruebas y monitoreo, y gobernanza corporativa de las aplicaciones de IA. Su lectura pone el acento en procesos de revisión y aprobación, marcos de riesgo de modelos, documentación exhaustiva, tests regulares de fiabilidad, exactitud, privacidad y cumplimiento, y monitoreo continuo de operaciones.

Cómo se cruza con libros y registros

Un briefing técnico dirigido a broker-dealers explicó que, bajo el enfoque de neutralidad tecnológica reforzado en el reporte 2026, obligaciones concretas de supervisión y registro como FINRA Rules 3110 y 4511, además de SEC Rules 17a-4 y 204-2, se aplican cuando el contenido generado por herramientas como AI meeting notetakers constituye comunicaciones de negocio que deben ser supervisadas y conservadas.

Otra nota de análisis regulatorio sobre bancos y broker-dealers remarcó que no existe un "rulebook" específico de IA en 2026. Según esa lectura, el marco de neutralidad tecnológica se apoya en normas ya vigentes de supervisión, comunicaciones y libros y registros, entre ellas FINRA Rules 3110, 2210 y 4511 y las disposiciones de la SEA 17a-3 y 17a-4, además de la atención de la SEC a prácticas de "AI-washing" y los marcos de gestión de riesgo de modelos de agencias bancarias.

Marco federal en Estados Unidos

En paralelo, el Departamento del Tesoro de Estados Unidos publicó el Financial Services AI Risk Management Framework, FS AI RMF, y un AI Lexicon compartido para el sector financiero. Ambas piezas forman parte del AI Action Plan presidencial y buscan fijar estándares claros, con un enfoque de gobernanza basada en riesgos para el uso seguro y responsable de IA en servicios financieros.

El movimiento de FINRA y del Tesoro se da en un contexto de mayor formalización regulatoria sobre tecnología aplicada a finanzas, con el foco puesto en supervisión, trazabilidad de modelos y control de riesgos operativos y de seguridad asociados a sistemas de IA generativa.